Claude Code-sårbarhet lar ondsinnede depot stjele filer via symlink
24. juli 2026 avslørte Tego AI en sårbarhet i Anthropics Claude Code: en CLAUDE.md fil med en @import direktiv som peker til en symbolsk lenke i depotet, kan lese filer utenfor prosjektet i stillhet.
Publisert avRedigert med DeepSeek-V4-FlashBilder generert med GPT Image 1.5
24. juli 2026 avslørte Tego AI en sårbarhet i Anthropics Claude Code: en CLAUDE.md fil med en @import direktiv som peker til en symbolsk lenke i depotet, kan lese filer utenfor prosjektet i stillhet.
Angrepet utnytter et 'provenance mismatch': Claude Code sjekker den leksikalske stien, men følger symlinken ved lesing – uten å spørre om tillatelse.
Anthropic lukket saken som 'Informativ' og mener 'stol på denne mappen' dialogen er tilstrekkelig sikkerhet.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
juli 2026 avslørte sikkerhetsfirmaet Tego AI en sårbarhet i Anthropics KI-utviklerverktøy Claude Code. Svakheten gjør at et ondsinnet depot – en kodebase – kan lese filer fra utenfor prosjektet og sende dem i det første KI-forespørselen – uten at brukeren får noen advarsel .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Claude Code-sårbarhet lar ondsinnede depot stjele filer via symlink"?
24. juli 2026 avslørte Tego AI en sårbarhet i Anthropics Claude Code: en CLAUDE.md fil med en @import direktiv som peker til en symbolsk lenke i depotet, kan lese filer utenfor prosjektet i stillhet.
What are the key points to validate first?
24. juli 2026 avslørte Tego AI en sårbarhet i Anthropics Claude Code: en CLAUDE.md fil med en @import direktiv som peker til en symbolsk lenke i depotet, kan lese filer utenfor prosjektet i stillhet. Angrepet utnytter et 'provenance mismatch': Claude Code sjekker den leksikalske stien, men følger symlinken ved lesing – uten å spørre om tillatelse.
What should I do next in practice?
Anthropic lukket saken som 'Informativ' og mener 'stol på denne mappen' dialogen er tilstrekkelig sikkerhet.
Claude Code-sårbarhet lar ondsinnede depot stjele filer via symlink
24. juli 2026 avslørte Tego AI en sårbarhet i Anthropics Claude Code: en CLAUDE.md fil med en @import direktiv som peker til en symbolsk lenke i depotet, kan lese filer utenfor prosjektet i stillhet.
Publisert avRedigert med DeepSeek-V4-FlashBilder generert med GPT Image 1.5
24. juli 2026 avslørte Tego AI en sårbarhet i Anthropics Claude Code: en CLAUDE.md fil med en @import direktiv som peker til en symbolsk lenke i depotet, kan lese filer utenfor prosjektet i stillhet.
Angrepet utnytter et 'provenance mismatch': Claude Code sjekker den leksikalske stien, men følger symlinken ved lesing – uten å spørre om tillatelse.
Anthropic lukket saken som 'Informativ' og mener 'stol på denne mappen' dialogen er tilstrekkelig sikkerhet.
Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doeAI-generated illustration of a symlink bypassing security checks, representing the provenance mismatch vulnerability in Claude Code's memory loader.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security vulnerability did Tego AI disclose in Anthropic's Claude Code in July 2026, how doe. Article summary: Now I have comprehensive sources. Let me compile the full answer.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
juli 2026 avslørte sikkerhetsfirmaet Tego AI en sårbarhet i Anthropics KI-utviklerverktøy Claude Code. Svakheten gjør at et ondsinnet depot – en kodebase – kan lese filer fra utenfor prosjektet og sende dem i det første KI-forespørselen – uten at brukeren får noen advarsel .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Claude Code-sårbarhet lar ondsinnede depot stjele filer via symlink"?
24. juli 2026 avslørte Tego AI en sårbarhet i Anthropics Claude Code: en CLAUDE.md fil med en @import direktiv som peker til en symbolsk lenke i depotet, kan lese filer utenfor prosjektet i stillhet.
What are the key points to validate first?
24. juli 2026 avslørte Tego AI en sårbarhet i Anthropics Claude Code: en CLAUDE.md fil med en @import direktiv som peker til en symbolsk lenke i depotet, kan lese filer utenfor prosjektet i stillhet. Angrepet utnytter et 'provenance mismatch': Claude Code sjekker den leksikalske stien, men følger symlinken ved lesing – uten å spørre om tillatelse.
What should I do next in practice?
Anthropic lukket saken som 'Informativ' og mener 'stol på denne mappen' dialogen er tilstrekkelig sikkerhet.
Sårbarheten ligger i et såkalt provenance-mismatch – en forskjell mellom hvilken sti Claude Code sjekker (den leksikalske stien), og hvilken fil den faktisk leser (den symlink-oppløste stien). Slik utnyttes den:
Et ondsinnet depot inneholder en tilsynelatende vanlig CLAUDE.md-fil med et @import-direktiv som peker til en fil i depotet – for eksempel @./link.
Den filen er en Git-lagret symbolsk lenke (modus 120000 i Git) som peker til et mål utenfor depotet, for eksempel /etc/passwd eller ../../../../home/user/.ssh/id_rsa. Git bevarer symlinker ved kloning .
Når en utvikler kloner depotet og starter Claude Code, leser minnelasteren CLAUDE.md og finner @./link-importen. Den sjekker om den leksikalske stien (./link) er innenfor prosjektet – det er den – så importen klassifiseres som 'intern', og ingen dialog for ekstern import dukker opp .
Lasteren følger deretter symlinken til det faktiske målet utenfor prosjektet, leser innholdet og plasserer det i modellens første kontekstvindu .
Innholdet forlater maskinen i den første utgående forespørselen til Anthropics API – før modellen har gjort noe, og uten at brukeren ser noen advarsel .
Valgfritt kan en separat kjent ANTHROPIC_BASE_URL-innstilling i depotet omdirigere den utgående forespørselen til en tjener angriperen kontrollerer, for full eksfiltrering .
Det nye funnet er ikke at Claude Code følger symlinker – det er dokumentert og hensiktsmessig. Det nye er omgåelsen av samtykke: sjekken for ekstern import kjøres mot den uoppløste stien, lesingen skjer på den oppløste stien, og minnelasteren fikk aldri den symlink-oppløsningsfiksen som ble brukt i to tidligere CVE-er i Claude Codes tillatelsessystem .
Anthropics svar
Tego AI rapporterte problemet via HackerOne i juli 2026. Anthropic lukket rapporten som 'Informativ' – det vil si at de ikke behandlet den som en sikkerhetssårbarhet under sin nåværende trusselmodell .
Anthropics begrunnelse: under Claude Codes trusselmodell er 'stol på denne mappen'-dialogen sikkerhetsgrensen. Å godta den dialogen gir allerede prosjektet bred lese-, redigerings- og utførelsestilgang. Tego AI bestrider ikke at Anthropic konsekvent bruker denne modellen, men argumenterer for at funnet likevel er viktig fordi data forlater maskinen automatisk, i stillhet og uten at brukeren er klar over det .
Verdt å merke seg: det samme symlink-vs.-sikkerhetssjekk-feilmønsteret var rettet to ganger før i Claude Codes tillatelsessystem:
CVE-2025-59829 (rettet september 2025): symlink-omgåelse av nektelsesregler i filtillatelser
CVE-2026-25724 (rettet januar 2026): samme mønster igjen, omgåelse av nektelsesregler via symlinker
Begge tidligere rettelser løste opp symlinken før sjekk av tillatelser – men den rettelsen ble aldri brukt på minnelasterens kodebane .
Bredere mønster: Claude-økosystemet og sikkerhet i KI-kodingsverktøy
Tego AIs avsløring er den andre Claude-økosystemfeilen på én uke. 14. juli 2026 avslørte Tego at Claude Tags Slack-integrasjon kunne trigges av vanlig @Claude-tekst i en melding, noe som potensielt kunne muliggjøre uautoriserte handlinger i bedrifter .
Utover Tego's arbeid har Claude Code samlet minst 28 CVE-er på omtrent ett år, inkludert:
To kritiske sandkasseomgåelser med CVSS 10.0: CVE-2026-39861 (symlink-sandkasseomgåelse) og CVE-2026-25725 (settings.json-sandkasseomgåelse)
CVE-2026-46406 (juni 2026): /copy-kommandoen skrev svar til en hardkodet, verden-lesbar mappe /tmp/claude/response.md, slik at enhver lokal bruker kunne lese hemmeligheter
Check Point Research (februar 2026): kritiske feil (CVE-2025-59536, CVE-2026-21852) som muliggjorde RCE og tyveri av API-nøkler via ondsinnede depotkonfigurasjonsfiler
Bransjeomfattende forskning viser at dette ikke er unikt for Anthropic:
GhostApproval (Wiz, juli 2026): Symlink-feil i seks KI-kodingsassistenter (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) lot et ondsinnet depot få verktøyet til å skrive til sensitive filer mens brukeren godkjente skriving til en ufarlig fil
SymJack (Adversa AI, mai 2026): Et enkelt symlink-kapringsangrep som oppnådde RCE på tvers av seks produkter (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Brukeren godkjenner en filmkopiering; kjernen skriver et annet sted
TrustFall (Adversa AI, mai 2026): Depotdefinerte MCP-tjenere utføres automatisk når brukeren godtar mappetillitsmeldingen
Den underliggende arkitektoniske spenningen er konsekvent på tvers av bransjen: KI-kodingsagenter trenger bred tilgang til filsystem, skall og nettverk for å være nyttige – men den forhøyede tilgangen er den samme som en angriper trenger. Hver sandkasseomgåelse, stitråkk og tillitsdialog-omgåelse stammer fra denne samme utfordringen . Angrepsflaten krymper ikke; nye funksjoner legger til nye vektorer raskere enn eksisterende blir lappet.
Sårbarheten ligger i et såkalt provenance-mismatch – en forskjell mellom hvilken sti Claude Code sjekker (den leksikalske stien), og hvilken fil den faktisk leser (den symlink-oppløste stien). Slik utnyttes den:
Et ondsinnet depot inneholder en tilsynelatende vanlig CLAUDE.md-fil med et @import-direktiv som peker til en fil i depotet – for eksempel @./link.
Den filen er en Git-lagret symbolsk lenke (modus 120000 i Git) som peker til et mål utenfor depotet, for eksempel /etc/passwd eller ../../../../home/user/.ssh/id_rsa. Git bevarer symlinker ved kloning .
Når en utvikler kloner depotet og starter Claude Code, leser minnelasteren CLAUDE.md og finner @./link-importen. Den sjekker om den leksikalske stien (./link) er innenfor prosjektet – det er den – så importen klassifiseres som 'intern', og ingen dialog for ekstern import dukker opp .
Lasteren følger deretter symlinken til det faktiske målet utenfor prosjektet, leser innholdet og plasserer det i modellens første kontekstvindu .
Innholdet forlater maskinen i den første utgående forespørselen til Anthropics API – før modellen har gjort noe, og uten at brukeren ser noen advarsel .
Valgfritt kan en separat kjent ANTHROPIC_BASE_URL-innstilling i depotet omdirigere den utgående forespørselen til en tjener angriperen kontrollerer, for full eksfiltrering .
Det nye funnet er ikke at Claude Code følger symlinker – det er dokumentert og hensiktsmessig. Det nye er omgåelsen av samtykke: sjekken for ekstern import kjøres mot den uoppløste stien, lesingen skjer på den oppløste stien, og minnelasteren fikk aldri den symlink-oppløsningsfiksen som ble brukt i to tidligere CVE-er i Claude Codes tillatelsessystem .
Anthropics svar
Tego AI rapporterte problemet via HackerOne i juli 2026. Anthropic lukket rapporten som 'Informativ' – det vil si at de ikke behandlet den som en sikkerhetssårbarhet under sin nåværende trusselmodell .
Anthropics begrunnelse: under Claude Codes trusselmodell er 'stol på denne mappen'-dialogen sikkerhetsgrensen. Å godta den dialogen gir allerede prosjektet bred lese-, redigerings- og utførelsestilgang. Tego AI bestrider ikke at Anthropic konsekvent bruker denne modellen, men argumenterer for at funnet likevel er viktig fordi data forlater maskinen automatisk, i stillhet og uten at brukeren er klar over det .
Verdt å merke seg: det samme symlink-vs.-sikkerhetssjekk-feilmønsteret var rettet to ganger før i Claude Codes tillatelsessystem:
CVE-2025-59829 (rettet september 2025): symlink-omgåelse av nektelsesregler i filtillatelser
CVE-2026-25724 (rettet januar 2026): samme mønster igjen, omgåelse av nektelsesregler via symlinker
Begge tidligere rettelser løste opp symlinken før sjekk av tillatelser – men den rettelsen ble aldri brukt på minnelasterens kodebane .
Bredere mønster: Claude-økosystemet og sikkerhet i KI-kodingsverktøy
Tego AIs avsløring er den andre Claude-økosystemfeilen på én uke. 14. juli 2026 avslørte Tego at Claude Tags Slack-integrasjon kunne trigges av vanlig @Claude-tekst i en melding, noe som potensielt kunne muliggjøre uautoriserte handlinger i bedrifter .
Utover Tego's arbeid har Claude Code samlet minst 28 CVE-er på omtrent ett år, inkludert:
To kritiske sandkasseomgåelser med CVSS 10.0: CVE-2026-39861 (symlink-sandkasseomgåelse) og CVE-2026-25725 (settings.json-sandkasseomgåelse)
CVE-2026-46406 (juni 2026): /copy-kommandoen skrev svar til en hardkodet, verden-lesbar mappe /tmp/claude/response.md, slik at enhver lokal bruker kunne lese hemmeligheter
Check Point Research (februar 2026): kritiske feil (CVE-2025-59536, CVE-2026-21852) som muliggjorde RCE og tyveri av API-nøkler via ondsinnede depotkonfigurasjonsfiler
Bransjeomfattende forskning viser at dette ikke er unikt for Anthropic:
GhostApproval (Wiz, juli 2026): Symlink-feil i seks KI-kodingsassistenter (Amazon Q Developer, Anthropic, Cursor, Google Gemini, GitHub Copilot, Vercel) lot et ondsinnet depot få verktøyet til å skrive til sensitive filer mens brukeren godkjente skriving til en ufarlig fil
SymJack (Adversa AI, mai 2026): Et enkelt symlink-kapringsangrep som oppnådde RCE på tvers av seks produkter (Claude Code, Gemini CLI, Cursor, Copilot, Grok Build, Codex CLI). Brukeren godkjenner en filmkopiering; kjernen skriver et annet sted
TrustFall (Adversa AI, mai 2026): Depotdefinerte MCP-tjenere utføres automatisk når brukeren godtar mappetillitsmeldingen
Den underliggende arkitektoniske spenningen er konsekvent på tvers av bransjen: KI-kodingsagenter trenger bred tilgang til filsystem, skall og nettverk for å være nyttige – men den forhøyede tilgangen er den samme som en angriper trenger. Hver sandkasseomgåelse, stitråkk og tillitsdialog-omgåelse stammer fra denne samme utfordringen . Angrepsflaten krymper ikke; nye funksjoner legger til nye vektorer raskere enn eksisterende blir lappet.
